Menyiapkan propagasi identitas tepercaya dengan Amazon Redshift Query Editor V2

Prosedur berikut memandu Anda melalui cara mencapai propagasi identitas tepercaya dari Amazon Redshift Query Editor V2 ke Amazon Redshift.

Prasyarat

Sebelum Anda dapat memulai dengan tutorial ini, Anda harus mengatur yang berikut:

1. Aktifkan Pusat Identitas IAM. Contoh organisasi direkomendasikan. Untuk informasi selengkapnya, lihat Prasyarat dan pertimbangan.

2. Menyediakan pengguna dan grup dari sumber identitas Anda ke Pusat Identitas IAM.

Mengaktifkan propagasi identitas tepercaya mencakup tugas yang dilakukan oleh administrator Pusat Identitas IAM di konsol Pusat Identitas IAM dan tugas yang dilakukan oleh administrator Amazon Redshift di konsol Amazon Redshift.

Tugas yang dilakukan oleh administrator Pusat Identitas IAM

Tugas-tugas berikut harus diselesaikan oleh administrator Pusat Identitas IAM:

1. Buat peran IAM di akun tempat klaster Amazon Redshift atau instance Tanpa Server ada dengan kebijakan izin berikut. Untuk informasi selengkapnya, lihat Pembuatan Peran IAM.

   1. Contoh kebijakan berikut mencakup izin yang diperlukan untuk menyelesaikan tutorial ini. Untuk menggunakan kebijakan ini, ganti kebijakan contoh italicized placeholder text dalam dengan informasi Anda sendiri. Untuk petunjuk tambahan, lihat Membuat kebijakan atau Mengedit kebijakan.

      Kebijakan izin:

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Sid": "AllowRedshiftApplication",
                  "Effect": "Allow",
                  "Action": [
                      "redshift:DescribeQev2IdcApplications",
                      "redshift-serverless:ListNamespaces",
                      "redshift-serverless:ListWorkgroups",
                      "redshift-serverless:GetWorkgroup"
                  ],
                  "Resource": "*"
              },
              {
                  "Sid": "AllowIDCPermissions",
                  "Effect": "Allow",
                  "Action": [
                      "sso:DescribeApplication",
                      "sso:DescribeInstance"
                  ],
                  "Resource": [
                      "arn:aws:sso:::instance/Your-IAM-Identity-Center-Instance ID",
                      "arn:aws:sso::Your-AWS-Account-ID:application/Your-IAM-Identity-Center-Instance-ID/*"
                  ]
              }
          ]
      }

      Kebijakan kepercayaan:

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "redshift-serverless.amazonaws.com",
                          "redshift.amazonaws.com"
                      ]
                  },
                  "Action": [
                      "sts:AssumeRole",
                      "sts:SetContext"
                  ]
              }
          ]
      }
                                          

2. Buat set izin di akun AWS Organizations manajemen tempat Pusat Identitas IAM diaktifkan. Anda akan menggunakannya di langkah berikutnya untuk memungkinkan pengguna federasi mengakses Redshift Query Editor V2.

   1. Buka konsol Pusat Identitas IAM, di bawah izin Multi-Akun, pilih Set izin.

   2. Pilih Buat set izin.

   3. Pilih Set izin khusus dan kemudian pilih Berikutnya.

   4. Di bawah kebijakan AWS terkelola, pilih AmazonRedshiftQueryEditorV2ReadSharing.

   5. Di bawah kebijakan Inline, tambahkan kebijakan berikut:

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Sid": "Statement1",
                  "Effect": "Allow",
                  "Action": [
                      "redshift:DescribeQev2IdcApplications",
                      "redshift-serverless:ListNamespaces",
                      "redshift-serverless:ListWorkgroups",
                      "redshift-serverless:GetWorkgroup"
                  ],
                  "Resource": "*"
              }
          ]
      }

   6. Pilih Berikutnya dan kemudian berikan nama untuk nama set izin. Misalnya, Redshift-Query-Editor-V2.

   7. Di bawah status Relay — opsional, atur status relai default ke URL Query Editor V2, menggunakan format:https://your-region.console.aws.amazon.com/sqlworkbench/home.

   8. Tinjau pengaturan dan pilih Buat.

   9. Arahkan ke Dasbor Pusat Identitas IAM dan salin URL portal AWS akses dari bagian Ringkasan Pengaturan.

      

   10. Buka Jendela Browser Penyamaran baru dan tempel URL.

       Ini akan membawa Anda ke portal AWS akses Anda, memastikan Anda masuk dengan pengguna Pusat Identitas IAM.

       

       Untuk informasi selengkapnya tentang set izin, lihatKelola Akun AWS dengan set izin.

3. Aktifkan akses pengguna federasi ke Redshift Query Editor V2.

   1. Di akun AWS Organizations manajemen, buka konsol Pusat Identitas IAM.

   2. Di panel navigasi, di bawah Izin multi-akun, pilih. Akun AWS

   3. Pada Akun AWS halaman, pilih Akun AWS yang ingin Anda tetapkan aksesnya.

   4. Pilih Tetapkan pengguna atau grup.

   5. Pada halaman Tetapkan pengguna dan grup, pilih pengguna dan atau grup yang ingin Anda buat set izin. Lalu, pilih Selanjutnya.

   6. Pada halaman Tetapkan set izin, pilih set izin yang Anda buat di langkah sebelumnya. Lalu, pilih Selanjutnya.

   7. Pada halaman Tinjau dan kirimkan tugas, tinjau pilihan Anda dan pilih Kirim.

Tugas yang dilakukan oleh administrator Amazon Redshift

Mengaktifkan propagasi identitas tepercaya ke Amazon Redshift memerlukan administrator klaster Amazon Redshift atau administrator Amazon Redshift Tanpa Server untuk melakukan sejumlah tugas di konsol Amazon Redshift. Untuk informasi selengkapnya, lihat Mengintegrasikan Penyedia Identitas (IDP) dengan Amazon Redshift Query Editor V2 dan SQL Client menggunakan IAM Identity Center untuk Single Sign-On yang mulus di Big Data Blog.AWS